CVE-2026-37554

Descripción de la Vulnerabilidad

CVE-2026-37554 es una vulnerabilidad reportada en el software Vanetza V2X v26.02, que permite a atacantes no autorizados causar un denial of service (DoS). La falla ocurre en el proceso de manejo de paquetes de red de tipo GeoNetworking, donde excepciones generadas por OpenSSL durante la validación de puntos de curva elíptica (como puntos comprimidos inválidos o puntos no pertenecientes a la curva) no son correctamente capturadas en la cadena de llamada Router::indicate().

La vulnerabilidad se origina en la función check() del archivo openssl_wrapper.cpp, donde OpenSSL lanza una excepción openssl::Exception al fallar operaciones. Sin embargo, el bloque catch en la función parse_secured() no maneja adecuadamente estas excepciones, lo que permite a un atacante causar un cierre inesperado del sistema.

Sistemas Afectados

La vulnerabilidad afecta directamente el software Vanetza V2X en su versión v26.02. Es importante destacar que los sistemas con versiones anteriores o posteriores de este software no están expuestos a esta falla, ya que la vulnerabilidad se limita al procesamiento específico de paquetes en el contexto de la red vehicular (V2X).

Impacto y Explotabilidad

El impacto de CVE-2026-37554 es significativo, ya que permite a un atacante remoto causar una interrupción del servicio (DoS). La explotabilidad se considera media según la puntuación CVSS de 7.5, lo que indica que requiere conocimiento técnico para identificar y explotar la vulnerabilidad.

Un atacante podría enviar paquetes malformados o con datos inválidos al sistema, provocando un cierre inesperado del servicio de red V2X. Este tipo de fallas pueden tener consecuencias críticas en aplicaciones que dependen de la continuidad del servicio, como sistemas de conducción autónoma o gestión de tráfico.

Indicadores de Compromiso (IOCs)

No hay Indicadores de Compromiso públicos disponibles.

Mitigación y Parches

La mitigación más efectiva es actualizar el software Vanetza V2X a una versión posterior a v26.02, donde se haya incluido un parche para corregir la falta de manejo de excepciones en el proceso de validación de curvas elípticas. Los usuarios deben revisar las actualizaciones oficiales del desarrollador para aplicar correcciones seguras.

En ausencia de parches públicos, se recomienda implementar medidas preventivas como monitoreo continuo de la red V2X y la detección de tráficos anormales que puedan indicar intentos de explotación de esta vulnerabilidad.